Linux Iptables配置介绍
一.简介
iptables是与linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好的控制IP信息包过滤和防火墙配置。
简单来讲，防火墙就是用于实现Linux下访问控制的功能的。我们的任务就是去定义防火墙如何工作，这是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检查
二.配置介绍
1.规则链
Iptables一共可分为5个规则链：
1.PREROUTING（路由前）
2.INPUT（数据包流入口）
3.FORWARD（转发关卡）
4.OUTPUT（数据包出口）
5.POSTROUTING（路由后）
这是NetFilter（网络过滤器）规定的5个规则链，任何一个数据包，只要经过本机，必将经过这5个链中的一个链。
当我们定义策略的时候，要分别定义多条功能，其中：定义数据包允许或不允许的策略，是filter表过滤的功能；而定义地址转换的功能的则是nat表选项。mangle的主要作用是可以修改封包内容（暂未使用到）
对于filter来讲一般只能做在3个链上：INPUT，FORWARD，OUTPUT
对于nat来讲一般也只能做在3个链上：PRERPOUTING，OUTPUT，POSTROUTING
2.详解COMMAND
2.1规则写法
格式： iptables 【-t table】 COMMAND chain CRETIRIA -j ACTION
-t table：filter、nat，若不在该参数，默认写入到filter表中
COMMAND：定义如何对规则进行管理
chain：指定接下来的规则到底是在哪个链上操作的
CRETIRIA：指定匹配标准
-j ACTION：指定如何进行如何处理
2.2链管理命令
-P 设定默认策略：iptables -P INPUT DROP，表示把默认规则给拒绝了，且没有定义哪个动作，所以关于外界连接的所有规则包括CRT远程连接的都给拒绝了
-F 清空规则链：iptables -t nat -F 清空nat表的所有链
-N 支持用户新建一个链
-X 用户删除用户自定义的空链
-E 用来Rename chain主要是用来给用户自定义的链重命名
-Z 清空链，及链中默认规则的计数器
2.2规则管理命令
-A 新增规则链：iptables -A INPUT -i eth0 -j ACCEPT ，表示所有从eth0过来的连接均允许通过
-I num 插入，把当前规则插入为第几条：-I 3 ，插入为第三条
-R num Replays替换/修改第几条规则：iptables -R 3
-D num 删除，明确指定删除第几条规则
2.3查看管理命令“-L”
附加子命令
-n：以数字的方式显示IP，将IP直接显示出来
-v：显示详细信息
-vv/-vvv，越多越详细
--line-numbers：显示规则的行号
-t nat：显示nat表中所有的信息
注：-t nat需要放在 ‘-L’前， iptables -t nat -L -n
2.4实例
1. 设置默认策略
iptables -P INPUT DROP------拒绝所有连接
iptables -P OUTPUT ACCEPT----允许数据包出口
iptables -P FORWARD DROP---拒绝所有转发
2. eth0例外
iptables -t filter -A INPUT -i eth0 -j ACCEPT
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT
使服务器接收所有从eth0过来的连接或数据出口，防止设置默认策略后，造成内网无法访问！
-i入接口匹配
-o出接口匹配
3. lo例外（访问本地数据库）
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
4. 端口开放，如XXX程序 5099端口,使外网可通过5099端口注册到XXX
iptables -A INPUT -p udp --dport 5099 -j ACCEPT
iptables -A OUTPUT -p udp --sport 5099 -j ACCEPT
若需要开放的是范围端口，如音XXX端口30000:31000
iptables -A INPUT -p udp --dport 30000:31000 -j ACCEPT
iptables -A OUTPUT -p udp --sport 30000:31000 -j ACCEPT
注： 此处是小写p，
-p 协议匹配
--sport，--dport源和目的端口匹配
5. 端口转发
需要先开启iptables FORWARD功能：/etc/sysctl.conf配置文件的net.ipv4.ip_forward=1（默认是0）
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -d XXX.XXX.XXX.XXX -p tcp -m tcp --dport 8980 -j DNAT --to-destination 192.168.XXX.XXX:8980
iptables -t nat -A POSTROUTING -d 192.168.XXX.XXX -p tcp --dport 8980 -j SNAT --to-source 192.168.XXX.XXX
iptables -A FORWARD -i eth0 -s 192.168.XXX.XXX -p tcp --sport 8980 -j ACCEPT
iptables -A FORWARD -o eth0 -d 192.168.XXX.XXX -p tcp --dport 8980 -j ACCEPT
以上表示所有外网访问XXX.XXX.XXX.XXX:8980，均转发到内网192.168.XXX.XXX:8980
6. 路由功能
iptables -t nat -A POSTROUTING -s 192.168.XXX.0/24 -o eth1 -j MASQUERADE
表示所有XXX网段的IP，均可通过eth1访问外网；
iptables -t nat -A POSTROUTING -s 192.168.XXX.60 -o eth1 -j MASQUERADE
表示只有192.168.3.60这个IP，可通过eth1访问外网
7. 启动/保存等
service iptables save 保存到/etc/sysconfig/iptables
service iptables start/stop/restart/status
chkconfig iptables on 永久打开iptables，保证开机自启